المختصر الإخبارية-جدة
تمكنت أحدى الشركات الرائدة في مجال التصدي للهجمات الإلكترونية من اكتشاف برمجية خبيثة متطورة للغاية قادرة على تعطيل عمليات فحص أداء النظام التقليدية. وتستخدم هذه البرمجية الخبيثة من قبل عصابة إلكترونية للوصول إلى بيانات الإجراءات المالية الحساسة.
وقد تمكنت “مانديانت – Mandiant” وهي مجموعة “فاير آي” الأمنية للكشف عن الهجمات الإلكترونية، من التعرف على إحدى عصابات القرصنة الإلكترونية ذات الدوافع المالية والتي تستهدف السطو على بيانات بطاقات الدفع باستخدام البرمجيات الخبيثة المتطورة التي تنشط قبل إقلاع نظام التشغيل. ويشار إلى هذه التقنية، التي قلما تشاهد، باسم “bootkit”، حيث تعمل على إصابة مكونات النظام الأدنى مستوى من حيث الأهمية، مما يجعل من الصعب جداً اكتشافها. إن مجرد تثبيت البرمجية الخبيثة في موقعها المحدد يعني أنها ستبقى نشطة وفاعلة، حتى بعد مرحلة إعادة تثبيت نظام التشغيل التي تعتبر من منظور شريحة واسعة من عامة الناس على أنها من اكثر الطرق الفاعلة للتخلص من البرمجيات الخبيثة.
وبعد تتبع هذه البرمجية الخبيثة تبين أنها تشغّل عن طريق عصابة إلكترونية تسعى وراء أهداف مالية تعرف باسم “FIN1″، ويقع مقرها على الأرجح في روسيا أو في أي بلد يتحدث اللغة الروسية، وذلك استناداً إلى إعدادات اللغة المستخدمة في كثير من وسائل الهجوم الشائعة. وتشتهر هذه العصابة ببراعتها في سرقة البيانات التي يتم الحصول عليها بسهولة من مؤسسات الخدمات المالية مثل البنوك والاتحادات الائتمانية وعمليات أجهزة الصراف الآلي، وشركات إنجاز المعاملات المالية ومزودي الخدمات المالية للشركات.
وتشتمل (Nemesis)، وهي البيئة الإيكولوجية للبرمجية الخبيثة المستخدمة من قبل عصابة “FIN1″، على حزمة شاملة من برامج التسلل من الباب الخلفي (backdoors) التي تدعم طيفاً متنوعاً من بروتوكولات الشبكة وقنوات الاتصال الخاصة بمنصات التحكم والسيطرة. وهي تمنح مجموعة من الإمكانات القوية، بما في ذلك نقل الملفات والتقاط صور للشاشة الرئيسية وتسجيل ضربات لوحة المفاتيح والتلاعب في عمليات الإنجاز وجدولة المهام. وتقوم العصابة باستمرار بتحديث البرمجية الخبيثة (Nemesis) أثناء الاختراق المتواصل لبيئات الضحية، وذلك عن طريق نشر بدائل مختلفة لنفس الأدوات وإدخال مهام جديدة بين الأنماط المتكررة.
ويشير الاستخدام الانتقائي لبرمجية “bootkit” الخبيثة، التي تعمل على توفير منصة اختراق دائمة، إلى أنه من الممكن لبعض مجرمي الإنترنت استخدام وسائل قرصنة إلكترونية أكثر تطوراً وتعقيداً. فقد يقوم مجرمو الإنترنت باستخدام هذه الوسائل الخبيثة المتقدمة على نحو انتقائي في حال كان من الصعب اختراق الشركة الضحية أو في حال كانت البيانات المستهدفة ذات قيمة عالية. ويحرص القراصنة على ضمان توفير بوابة دخول دائم لهم إلى البيئة المخترقة. إن من أبرز خصائص برمجيات bootkits الخبيثة أن اكتشافها صعب للغاية، حيث أنه من الممكن تثبيتها وتفعيلها بشكل تام تقريبا خارج نطاق نظام التشغيل Windows. ونظراً لأن منصة تثبيت هذه البرمجية الخبيثة يتم تشغيلها قبل إقلاع نظام التشغيل Windows نفسه بشكل كلي، فهي لا تخضع لاختبارات جودة وأداء نظام التشغيل الاعتيادية.
إن استخدام هذه البرمجية الخبيثة، التي يتم تفعليها خارج نطاق نظام التشغيل، يتطلب اعتماد سيناريوهات مختلفة للكشف عنها وإزالتها. من الممكن تثبيت وتفعيل أي برمجية خبيثة مزودة بخصائص ومهام “”bootkit بشكل تام ومستقل إلى حد ما خارج نطاق نظام التشغيل Windows. ونتيجة لذلك، يحتاج المختصون في معالجة حالات الاختراق الإلكتروني إلى أدوات تتيح لهم الوصول والبحث في الأقراص غير المهيأة على نطاق واسع للتحقق من خلوها من برمجيات bootkits الخبيثة. وعلى نحو مشابه فإن حل إعادة تثبيت نظام التشغيل بعد التعرض للاختراق لم يعد كافياً، وينبغي على مسؤولي الأنظمة إجراء حذف كلي لأي أنظمة مصابة بالبرمجية الخبيثة bootkit وإعادة تحميل نظام التشغيل.
